Tiene 20 máquinas virtuales Windows Server locales y una suscripción de Azure con un espacio de trabajo de Microsoft Sentinel (Workspace1). Necesita recopilar y reenviar eventos de las máquinas virtuales locales a Workspace1 y poder aplicar filtros para reducir el volumen de eventos recopilados. ¿Qué dos componentes debe instalar en cada máquina virtual?

Para recopilar y reenviar eventos de máquinas virtuales locales a Microsoft Sentinel, necesita dos componentes clave. El Agente de Azure Connected Machine (también conocido como Agente de Azure Arc) es necesario para integrar las máquinas virtuales locales con Azure, permitiendo que se administren como recursos de Azure. Esto es fundamental para que Azure las reconozca y pueda implementar extensiones. El Agente de Azure Monitor (AMA) es el componente que recopila los datos de registro y rendimiento, incluidos los eventos, de las máquinas virtuales y los reenvía al espacio de trabajo de Log Analytics (utilizado por Sentinel). AMA permite una configuración detallada de reglas de recopilación de datos (DCR), lo que le permite aplicar filtros y reducir el volumen de eventos recopilados antes de enviarlos, cumpliendo con el requisito de filtrado. Las otras opciones son incorrectas: El Agente de dependencia de VM de Azure y el Agente de dependencia se utilizan para la característica de Mapa de servicio de Azure Monitor, no para la recopilación general de eventos con filtrado. La Extensión de VM de Log Analytics para Windows es el agente heredado (MMA) y, aunque puede recopilar eventos, el Agente de Azure Monitor es la solución más reciente y recomendada que ofrece capacidades de filtrado más avanzadas y eficientes a través de DCR.